次世代学認サービスメニュー：
全体像とロードマップ
佐藤周行（学認）＠第14回佐賀大学統合認証シンポジウム
2022/03/10

概要• 昨年も機会をいただいて、この統合認証シンポジウムで「新しい学認」というタイトルで発表しました• 同様の発表は2021 NII オープンフォーラム 2021 SINET6説明会でもしてきました• 今回はそのアップデートになります• 昨年の発表で示した「コンセプト」の詳細化を進めています• ターゲットとなるサービスが特定できつつあります（何かありませんでしょうか）• 実際の利用者の実感を重視しています• PoCの構築をしなければなりません• この発表は、スライドとしてタイトルページを含めて42枚、時間として35分を予定しています

2022/03/10

第14回佐賀大学統合認証シンポジウム2• コンセプトとしての「トラスト」「トラストフレームワーク」が具体的なサービスになるまでのギャップの特定と解決が求められています• 今までの解（例： NIST SP800-63）が教科書的に適用されるかと言うと…
• Missing pieces があります。
• 「結局は人間関係」というサイエンス/エンジニアリングの対極にある解に陥らないために（結局は必要なんですけど）

2022/03/10

第14回佐賀大学統合認証シンポジウム3学認の計画• 大学等研究機関が運用するIdPがサービス側から信用されるための基準を作って運用します• 学認に参加しているSPがIdPを信用する• 貴重な計算・情報リソースにアクセスできるように⇐従来、SPが本格的な公開を躊躇していたもの• 企業ID等、より広いアイデンティティの収容を可能にします（IDaaSの利用を含めて）• 基準は、現状を正しく評価し、かつIdPが十分「運用可能」なようなものにします• 基準は、国際基準を見据えたものにします• 将来的な国際的相互運用性を提供する

2022/03/10

第14回佐賀大学統合認証シンポジウム

5IdPを運用している研究機関へのお願い• アカウント発行のポリシーを確認してください• 大丈夫なはずです。「確認」は現状が十分満足できるレベルであることを「確認」することです• 認証を強くする要請に応えてください• パスワードだけの認証での事故多発• スマホその他を利用した多要素認証方式の普及• 多段階認証への評価見直し（↑の意味で）もありますが• 上が満たされれば、SPはIdPを強い意味で信用してくれます• （今後繰り返しますが）学認はその「信用」をサポートします2022/03/10

第14回佐賀大学統合認証シンポジウム

6利用者のご利益• たとえば、スーパーコンピュータの利用申請が大学のIdPからできるようになる（従来）• 確認のために顔を見せてください• 身分証、職員証の名前を確認させてください• 大学内の利用資格（大学院生以上である、予算を持っている等々）は、書類を所属機関とやりとりすることで確認します⇒

全部一度大学内で済んでいるんだけど…

2022/03/10

第14回佐賀大学統合認証シンポジウム

7• PLAN: たとえば、スーパーコンピュータの利用資格、本人確認がオンラインでできるように、IdPから出てくるアサーションの保証度を「学認」が保証します• IdPが正しく運用されていることを認定します• SPにはその「認定」を信頼してもらいます⇐学認が「説得」します

2022/03/10

第14回佐賀大学統合認証シンポジウム

8トラストフレームワーク• このような枠組みを「トラストフレームワーク」と言って• 統合認証シンポジウムで初めてお話ししたのは2013年（第7回）でした• 当初から国際的相互運用性を重視していました• motivationはNIHの利用• NIHの利用にはLoA 1が必要（後にそううまくいかないことがわかる）• LoA1取りましょう。学認が認定できるようにしましょう

2022/03/10

第14回佐賀大学統合認証シンポジウム9• 当時のアメリカでは、OMB 04-04 とそれを具体化したNIST
SP800-63が定められていた• 当時、オバマ政権は、NSTIC、FICAM等を組織し、当時立ち上がりつつあったIdP, SPによるSSOに信頼性を与えようとしていた• 米国内でも、末端まで理解されていたか非常に疑問• 現在、Kantaraが認定作業を行っている
2022/03/10

第14回佐賀大学統合認証シンポジウム

11

学認の立場• 信頼を獲得するための「基準」を管理運用します• KantaraのLoA1（Classic）の認定を自らできるようにしています• 「基準」として、3つくらい表に出ているものがあります• REFEDS Assurance Framework• NIST SP800-63• IGTF

2022/03/10

第14回佐賀大学統合認証シンポジウム

14

REFEDSの方針• 基準は他のものを借りてくる• Kantara, IGTF

• 基準は小分けにされていて、各々の基準が満たされているかどうかの値を与える• 大分野として• アイデンティティのユニークネス• アイデンティティの保証度• 属性の保証度• 値の集合を「プロファイル」として定義する• Cappuccino, Espresso

2022/03/10

第14回佐賀大学統合認証シンポジウム

16

NIST SP800-63の方針• 保証度を３つの基準から評価する (1, 2, 3)• Identity Assurance Level• Authentication Assurance Level• Federation Assurance Level• ３つの基準について、具体的に満たす条件を定める• 慎重なリスク評価と議論の結果• 認定機関は他に委託する• InCommon• Kantara

2022/03/10

第14回佐賀大学統合認証シンポジウム

17

NIST SP800-63批判（positive/negative）• トラストフレームワーク構築のために、NIST SP800-63の検討は避けては通れないというのが世間/業界の常識• 本来は米連邦サービスを利用するための基準• で、Practicalにはどうか（日本で大丈夫か？）

2022/03/10

第14回佐賀大学統合認証シンポジウム

18

NIST SP800-63は役に立つか？
• ポイントを外しているのではないか？

• 本人確認より、本人が属している組織の信頼度の方が重要• 特に（日本の）大学は信頼の起点になれるはず• サービス提供側からすれば、資格確認（due diligence）のほうが本質的に重要• サービス提供側からすれば、本人の保証度とともに、属性のassurance,freshnessが重要• IdP（CSP）に属していない人はどうすればいいのか？

→素朴に実装しようとするといろいろな問題が出てくる• 本来、われわれ（研究教育に携わる者のコミュニティ）がほしいものはなにか？
2022/03/10

第14回佐賀大学統合認証シンポジウム

19• 大学、企業に属し（属していなくても良いが）、その組織の信頼の上に立って、研究コミュニティを作る（基本に帰る）• 組織をまたがるのは当たり前• 企業研究者の組織化が大切• Orphan identityの収容• 組織の信頼性を利用しながら、その組織がどのくらいまじめにやっているかで評価• 組織内属性の評価
2022/03/10

KYC

第14回佐賀大学統合認証シンポジウム

20ということで、NISTは微妙に引っかかる• サービス提供側が納得するかの議論が抜けがちになる• NIST SP800-63では、対象サービスが「米連邦サービス」だから、割り切れた• SPを含めた議論が必要（従来のやり方の再評価を含む）• 例：スーパーコンピュータ利用申請のときに、「対面」を一回はさむ• 利用者にとっての便宜をはかることが first priority• サービス提供側にとっても、アイデンティティ管理は負担• 管理の軽減は利益になるはず• しかし、その負担が「権力」の源泉でもあった

2022/03/10

第14回佐賀大学統合認証シンポジウム

21

学認トラスト• 学認は信頼度を「認定する」• 認定に当たっての評価基準を公表する• SPは、認定されたIdPからのアサーションを信頼する• このような世界を作るために、一度、みな集まって話をしよう• NIST SP800-63は本格的なリスク評価を経た信頼のおけるものであることを認め、ベースラインとして採用する

2022/03/10

第14回佐賀大学統合認証シンポジウム

22

IAL (Identity Assurance Level)• 大前提：大学はトラストの起点• 入学試験の際の高校との文書のやり取り、住民票の提出、対面での学生証手渡し（コロナでだいぶ…）• 「普通の組織」としての採用プロセス。文科省の統制（研究者番号等）• 「大学」というだけで、組織の信頼度が高い（はず）• NIST準拠を意識しながら、IdPの今までの努力に報いる方法はないか？
2022/03/10

第14回佐賀大学統合認証シンポジウム

24

学認のIAL評価ドキュメント• 学認は、「認定」において必要な評価の基準を定めました
1. CSPの大学内での定義と、それに従うNIST/KIAFの読み替えの方針•• NIST や KIAF の 文 書 の モ デ ル で は 従 来 IdP と 呼 ば れ て い た も の を CSP （ Credential ServiceProvider）といい、パスワードや証明書などのクレデンシャルを利用者に発行するサービスを行うところを規制の対象としている。そのモデルではVerifierが、そのクレデンシャルを検証してRP（SP）にアサーションを発行する役割を持っている。我々が一般的に考えるIdPは、Verifierと（クレデンシャルの発行という意味での）一部のCSPの機能を合わせた機能を持っている。CSPの持つ利用者登録は、大学や研究所でいえば、学務や人事を担当する部局の責任の下行われるだろう。
CSPとIdPがNISTのモデル的には不完全に分離して運用されていることから、例えば本文書内でのIAL2の実現主体が（我々の言う）IdPなのかCSPなのか、振れることになる。
• ここでは、最初にこの誤解を生じかねない事態を整理することから始めたい。

2022/03/10

第14回佐賀大学統合認証シンポジウム25• 1.1

大学や研究所で学務や人事がCSPとして利用者登録をおこなっている場合• 現在、統一アカウントの運用が大学で普通に観察されるようになっている。アカウントの発行は、例えば情報基盤センターで行うのではなく、学務や人事の組織にとって信頼できるデータベース（以下Trusted DBと言う）から直接プロビジョニングされる。また、IdPの運用を外部委託（IDaaS）していても、Trusted DBに接続されていればここに当てはまる。
• このような場合、NISTで規定されているCSPの身元確認は、入学、採用時のプロセスとそれを反映したTrusted DBの維持管理の一部として行われる。このような場合、IdPを運用する部署はNISTに定められたIAL維持のためのアクションの多くについて責任を持つ必要はない。組織の成熟度（入学や採用が事故なく円滑に行われていること）を評価すれば足りる。IdPは、アカウントの生成プロセスとそのポリシーについて、上位の規程を参照しながら定めることで足りる。

• 1.2 IdPが、組織内で運用する共同利用のサービスのIdPとして、アカウントを運用している場合•
例えば、共同利用システムを運用していて、組織外部の利用者にアカウントを発行して運用する大学の部局や研究所がこれに当てはまる。この場合は、以降規定することがフルセットで当てはまる。ただし、大学や研究所のアカウントが十分信用できるのならば、それを利用してアカウントを作成する場合、IAL審査のコストを大きく下げることができる。この意味でもホームとなる機関でのIAL（とAAL）は重要である。

2022/03/10

第14回佐賀大学統合認証シンポジウム26• 2 CSPの運用範囲内で定めることと、より上の大学運営にかかわることの分離• 以上の観察に基づき、以降ではNIST/KIAFの文書のうち、規定をタイ
プ1, 2に分類して議論し、新学認参加のIdPが措置することを定める。
• ほとんどのIdPが（運用を整理することで）基準を満たすことができると期待する• 「まじめさ」への期待

2022/03/10

第14回佐賀大学統合認証シンポジウム27

SPが求める属性の提供• 値の保証の宣言：CrPCrPS (Credential Policy/CredentialPractice Statement)• 欧米の慣習（他人に対しては文書の「契約」で縛る）として、IdPの保証する範囲を文書にして公表する• Kantaraとcompatibleなやり方• ここで、保証する属性を宣言する• REFEDSでは、eduPersonAffiliationの値とそのfreshnessを値で表現• それだけではないだろう…

2022/03/10

第14回佐賀大学統合認証シンポジウム

28

様々なアイデンティティと属性の収容• 特に学認に参加していないところ（企業等）からの参加者をどう収容するか（IDaaS等）• SPからの声が大きいことを認識• 従来はSPが個別に「審査」を行ってアカウントを付与• 特に全国共同利用の性格をもつ研究所• 資格確認を統一基準（学認基準）で行う• KYC（本人の身元確認）＜ 組織の評価、組織内での身分（属性）確認、属性のfreshness確認

2022/03/10

第14回佐賀大学統合認証シンポジウム

29

ORTHROS, mAP• ORTHROS: 学認の外のアイデンティティ提供を吸収するPROXY• mAP: 研究コミュニティをサポートするための属性提供サーバ→

詳細は別プレゼンで2022/03/10

第14回佐賀大学統合認証シンポジウム

30

AAL (Authentication Assurance Level)• 強い保証度を提供するときに、password onlyはもう無理…

• 2年前の統合認証シンポジウムで、Office365への不正アクセスに対処する経験のプレゼンがありました（弘前大）• 特に、貴重な計算・情報リソースへアクセスする場合• 公開鍵認証の設定がSPごとに（アイデンティティ管理とともに）されている

2022/03/10

第14回佐賀大学統合認証シンポジウム

31

ここ数年での多要素認証の普及• （多要素認証ではないが）Googleをはじめとする多段階認証の信頼度↑• SMSを利用したOTPが生き残る• フィッシング対応で少しはやらなくなった↓（提供側も、都度発生する費用をどこに転嫁すればよいのか悩ましい）• SmartphoneでのAuthenticator提供• MS ADでもサポート• 証明書認証その他従来手法に代わって急速に普及した• 古い世代が置き去りに

2022/03/10

第14回佐賀大学統合認証シンポジウム

32パスワードの利用• パスワードは依然重要な認証手段• パスワードはなくならない• パスワードの運用、パスワードポリシーが問題• パスワードに関してのNIST SP800-63の方針は• 個人情報を扱うサービスへのログインはパスワードonly禁止• そのかわり、パスワードポリシーは「8文字以上」のみ• 「定期変更等を強制してはならない」ということにお墨付きを与えた文書の一つでした

2022/03/10

第14回佐賀大学統合認証シンポジウム

34

学認としては• 規程1.1 パスワードを認証器として用いる時は以下を満たさなければならない。
• a. パスワードの要件：• 利用者が設定する場合は8文字以上、システムがランダムに設定する場合は6文字以上でなければならない。システムがブラックリスト等への登録等、設定を禁止しているパスワードが設定されるようになっていてはならない。

•本文書の基本になるKIAF1440（及びNIST SP800-63）では、個人識別情報（PII）を扱う際にはパスワードのみの認証を禁止している。つまり、重要な情報は多要素認証で守るという姿勢を明確にしている。したがって、パスワード認証単独に要求する強度は必ずしも高いとは言えない。この姿勢を正しく理解し、日本でパスワード認証のみを使っている機関が多くあること、そこでPIIを含む情報を処理していることが行われていることを考えれば、ここで定める基準が参加機関でより強力なパスワードポリシーを定めることの妨げになってはならない。

•• 注）例えば、総務省では以下でパスワードの一般的なポリシーを提示している。

• https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/staff/01.html
2022/03/10

第14回佐賀大学統合認証シンポジウム

35

多要素認証の運用は実は大変で…
• AALは、認証器そのものの評価と運用の評価にわかれる• 認証器そのものの評価は、学認がなんとかしましょう• 学認は、容認できる認証器を集めて認証器レジストリを運用します• 大学個別で認証器の評価をする負担ができるだけかからないように• 大学個別の経験を学認にお寄せください

2022/03/10

第14回佐賀大学統合認証シンポジウム

36

このスライドを見ている方々へ• Authenticator等、多要素認証器を開発、リリースしているベン
ダーの方々（e.g. Microsoft, Google, Y!J, …）、さまざまなコンソーシアム（FIDO, …）の協力をぜひいただきたいと思います• 大学個別で認証器を運用している場合も、その評価をもとにレジストリへ登録することができます• よろしくお願いします

2022/03/10

第14回佐賀大学統合認証シンポジウム

37

AAL2
• 多要素認証の運用が大変であるという状況は変わっていない• 「運用まで含めて高いレベル」を求めるなら特に⇐SPとしては当然求めてくる• Smartphoneの普及、その上でのauthenticatorの提供• BYODを恒常的に仮定してよいのか？という問題はあるが…

• PCやSmartphoneでの様々なauthenticatorの提供• 少し前に進むことができるのではないか？

• 少なくとも、高度なサービスを求める利用者に対しては2022/03/10

第14回佐賀大学統合認証シンポジウム

38

AALの評価基準文書• AALの評価基準文書を用意しています• NIST準拠を意識しています• 認証器の種類についてはレジストリの運用の形で学認が責任をもちます• 認証器本体の運用については「学認レジストリに登録されているもの」と記すつもりです• 一方、認証器の運用は各大学で注意深く行う必要があります

2022/03/10

第14回佐賀大学統合認証シンポジウム39

認証器の運用での注意• 認証器の利用者とのバインディング• 本人確認、認証器の配布、…
• これが、運用がスケールしない最大の原因• 全学レベルでの高いレベルの運用は必要としないまでも、一定の人たち（SPが強い認証を要求する人たち）に対しては高いレベルの運用が必要• →がんばりましょう• セキュリティパラメタの管理• Defaultの運用をすれば（多分）大丈夫

2022/03/10

第14回佐賀大学統合認証シンポジウム

40

どのくらい早期に始められるか• 有志のIdPとSPに集まっていただいて、PoCレベルのものをできるだけ早く始められるようにがんばっています• タイムリーな情報発信をこころがけます• 利用者にとっては• 良いサービスが新規にフルオンラインで提供されるご利益が期待できます• 利用者のアイデンティティの運用と認証は、少し厳格になる• SPが安心できるように

2022/03/10

第14回佐賀大学統合認証シンポジウム

41

終わりに
• 次世代学認のサービスメニューを示しました• アイデンティティの保証↑• 認証の保証↑• SPのもつ貴重な計算・情報リソースをフルオンラインで利用可能になる範囲を拡大• 学認は、大学（IdP）とサービス（SP）を、上記の面からサポートします2022/03/10

第14回佐賀大学統合認証シンポジウム

42